Podatność CVE-2019-11446

Podatność CVE-2019-11446

Publikacja: 2019-04-22

Opis:

An issue was discovered in ATutor through 2.2.4. It allows the user to run commands on the server with the teacher user privilege. The Upload Files section in the File Manager field contains an arbitrary file upload vulnerability via upload.php. The $IllegalExtensions value only lists lowercase (and thus .phP is a bypass), and omits .shtml and .phtml.

Typ:

CWE-434

(Unrestricted Upload of File with Dangerous Type)

CVSS2 => (AV:N/AC:L/Au:S/C:P/I:P/A:P)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
6.5/10	6.4/10	8/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Niska	Jednorazowa
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Częściowy	Częściowy	Częściowy

Affected software
Atutor -> Atutor

Referencje:

http://pentest.com.tr/exploits/ATutor-2-2-4-file-manager-Remote-Code-Execution-Injection-Metasploit.html

https://www.exploit-db.com/exploits/46691/

Copyright 2024, cxsecurity.com